Das Parlamentarische Datenschutzkomitee (PDK) ist eine Behörde in Österreich. Sie ist als datenschutzrechtliche Aufsichtsbehörde zur Überwachung von Datenverarbeitungen im Bereich der Gesetzgebung zuständig§ 35a des österreichischen Datenschutzgesetzes in der Fassung der Änderung im Bundesgesetzblatt Nr. 70/2024. (Abgerufen am 21. Februar 2026). und entscheidet über Datenschutzbeschwerden§ 35f des österreichischen Datenschutzgesetzes in der Fassung der Änderung im Bundesgesetzblatt Nr. 70/2024. (Abgerufen am 25. Dezember 2024). gegen Organe der Gesetzgebung einschließlich deren Verwaltungsangelegenheiten.
Das Parlamentarische Datenschutzkomitee ist zuständig für die Arbeitsbereiche von Nationalrat, Bundesrat, Rechnungshof und Volksanwaltschaft.
Durch Landesverfassungsgesetze kann es auch für die Aufsicht über die Datenverarbeitungen der Landtage, der Landesrechnungshöfe und die Landesvolksanwälte zuständig gemacht werden. Von dieser Möglichkeit haben alle Länder Gebrauch gemacht (Reihenfolge chronologisch): NiederösterreichNÖ Landtags-Datenschutznovelle 2025, Landesgesetzblatt für Niederösterreich Nr. 52/2025, kundgemacht am 12. Mai 2025, in Kraft ab 13. Mai 2025. SalzburgGesetz vom 30. April 2025, mit dem das Landtags-Geschäftsordnungsgesetz und das Salzburger Landesrechnungshofgesetz 1993 geändert werden, Land Salzburg Landesgesetzblatt Nr. 47/2025, kundgemacht am 8. Mai 2025, in Kraft ab 1. Juli 2025. TirolLandesverfassungsgesetz vom 7. Mai 2025, mit dem die Tiroler Landesordnung 1989 geändert wird, Landesgesetzblatt für Tirol Nr. 34/2025, kundgemacht am 9. Mai 2025, in Kraft ab 1. September 2025. BurgenlandÄnderung des Landes-Verfassungsgesetzes über die Verfassung des Burgenlandes vom 26. Juni 2025, Burgenländisches Landesgesetzblatt Nr. 54/2025, kundgemacht am 16. Juli 2025, in Kraft ab 1. September 2025. OberösterreichÄnderung der Oö. Landtagsgeschäftsordnung 2009 und Änderung des Oö. Landesrechnungshofgesetzes 2013 im Oö. Informationsfreiheits-Anpassungsgesetz - Oö. IFAG, Landesgesetzblatt für Oberösterreich Nr. 64/2025, kundgemacht am 28. Juli 2025, in Kraft ab 1. September 2025. SteiermarkÄnderung des Landes-Verfassungsgesetzes 2010 und des Steiermärkischen Volksrechtegesetzes, Landesgesetzblatt für Steiermark Nr. 69/2025, kundgemacht am 27. August 2025, in Kraft ab 1. September 2025. VorarlbergVerfassungsgesetz über eine Änderung der Landesverfassung, Vorarlberger Landesgesetzblatt Nr. 43/2025, kundgemacht am 4. September 2025, in Kraft ab 5. September 2025. WienGesetz, mit dem die Wiener Stadtverfassung geändert wird, Wiener Landesgesetzblatt Nr. 67/2025, kundgemacht am 10. Dezember 2025, in Kraft ab 11. Dezember 2025. KärntenKärntner Landesverfassung; Änderung, Kärntner Landesgesetzblatt Nr. 64/2025, kundgemacht am 6. November 2025, in Kraft ab 1. Jänner 2026.
Das Parlamentarische Datenschutzkomitee ist eine der zwei datenschutzrechtlichen Aufsichtsbehörden in Österreich, die andere ist die Datenschutzbehörde.
Rechtsgrundlage des Parlamentarische Datenschutzkomitees ist die Novelle zum österreichischen im Bundesgesetzblatt vom 4. Juli 2024, . Dieses Gesetz trat mit 15. Juli 2024 in Kraft.§ 70 Absatz 15 Datenschutzgesetz. Das Parlamentarische Datenschutzkomitee hat danach seine Zuständigkeiten ab 1. Jänner 2025 wahrzunehmen, bereits laufende Verfahren bei anderen Stellen sind dieser Behörde abzutreten.§§ 69 Absatz 10 und 11 Datenschutzgesetz.
Entstehung Ausgangslage Eine gesetzgebende Körperschaft in Österreich (Nationalrat, Bundesrat, Landtage) ist nicht nur für die Schaffung von Gesetzen zuständig, sondern hat auch das Recht zu kontrollieren, ob die beschlossenen Gesetze rechtmäßig vollzogen werden. Dafür bestehen einerseits konkrete Einrichtungen (Rechnungshöfe, Volksanwaltschaften usw.), andererseits Rechte der Körperschaft bzw. ihrer Mitglieder (der Abgeordneten) selbst (parlamentarische Anfragen, Bearbeitung von Petitionen, Untersuchungsausschüsse). Dabei kann es auch dazu kommen, dass personenbezogene Daten von natürlichen und juristischen Personen verarbeitet werden müssen. Das Thema, ob und welcher Rechtsschutz gegen Datenschutzverletzungen in diesem Bereich bestehe, führte immer wieder zu Verfahren und Diskussionen.Z. B. aus einem Verfahren vor der Datenschutzbehörde, dessen Entscheidung aber nicht angefochten worden war. Es hatte zu diesem Thema am 3. März 2022 auch eine internationale Fachtagung „Datenschutz im Bereich der Gesetzgebung“, veranstaltet durch die Parlamentsdirektion, stattgefunden, bei der von der Leiterin der Datenschutzbehörde Andrea Jelinek u. a. die Schaffung einer eigenen datenschutzrechtlichen Aufsichtsbehörde für diesen Bereich zur Diskussion gestellt wurde: Andrea Jelinek: Bedeutung der Spruchpraxis der Datenschutzbehörde für mögliche Regelungen im parlamentarischen Bereich, S. 63–64. (Abgerufen am 26. Dezember 2024). Es war einerseits dem österreichischen Datenschutzrecht nicht zu entnehmen, dass die (bereits vorhandene) Datenschutzbehörde auch für solche Themen zuständig sei, andererseits enthielt das europäische Datenschutzrecht (die Datenschutz-Grundverordnung DSGVO) keine Ausnahmen für diesen Bereich.
Ob ein Vorrang des Europarechts auch im Bereich der Gewaltenteilung bestünde, war nicht entschieden. Für die staatliche Organisation in Österreich ist aber die Gewaltenteilung jedenfalls zu beachten. Die drei Staatsgewalten Gesetzgebung (Legislative), ausführende Gewalt (Verwaltung, Exekutive) und Rechtsprechung (Justiz, Judikative) sind getrennt voneinanderArtikel 18 Absatz 1, Art. 20 Abs. 1, Artikel 94 Absatz 1, Art. 102 Abs. 1 des Bundes-Verfassungsgesetzes B-VG. organisiert. Das dient der Machtbegrenzung und erleichtert die Kontrolle. Es ist damit aber auch nicht ohne Weiteres möglich, dass eine Behörde der Exekutive (wie es die Datenschutzbehörde ist) für Angelegenheiten zuständig ist, die der Gesetzgebung (wie es z. B. der Nationalrat ist) zugeordnet sind. Das kann (innerstaatlich) nur durch eine Änderung der österreichischen Bundesverfassung gestaltet werden. Aus diesem Grund enthalten die gesetzlichen Grundlagen des Parlamentarischen Datenschutzkomitees eine Reihe von Bestimmungen, die ausdrücklich als Verfassungsbestimmung bezeichnet sind. Durch diese Bestimmungen wird die vorher unklare Rechtslage klarer formuliert.
Anlassfall Anlass für die Schaffung des Parlamentarischen Datenschutzkomitees war eine Beschwerde über die Veröffentlichung eines Protokolls eines Untersuchungsausschusses in folgendem Zusammenhang:
Der Nationalrat hatte am 20. April 2018Dokument 3/US in der XXVI. Gesetzgebungsperiode: Veröffentlichung gemäß § 33 Abs. 9 des Geschäftsordnungsgesetzes des Nationalrates. (Abgerufen am 26. Dezember 2024). einen Untersuchungsausschuss eingesetzt, der sich mit möglicher politische Einflussnahme auf das (damalige) Bundesamt für Verfassungsschutz und Terrorismusbekämpfung befassen sollte.Bericht des Geschäftsordnungsausschusses über das Verlangen auf Einsetzung eines Untersuchungsausschusses gemäß § 33 des Geschäftsordnungsgesetzes des Nationalrates: BVT-Untersuchungsausschuss (109 der Beilagen zu den Stenographischen Protokollen des Nationalrates XXVI. Gesetzgebungsperiode). (Abgerufen am 26. Dezember 2024).Protokoll der 21. Sitzung des Nationalrates am 20. April 2018, S. 198–203. (Abgerufen am 26. Dezember 2024). Am 19. September 2018 wurde ein Mann, der für dieses Amt als verdeckter Ermittler arbeitete, vor diesem Untersuchungsausschuss als Auskunftsperson befragt. Obwohl er ausdrücklich eine Anonymisierung beantragtAbschnitt I.1. des Erkenntnisses des Bundesverwaltungsgerichts vom 23. November 2020, Geschäftszahl W211 2227144-1. (Abgerufen am 26. Dezember 2024). hatte, wurde auf der Webseite des Österreichischen Parlaments das Protokoll seiner Befragung unter vollständiger Nennung seines Vor- und Familiennamens veröffentlicht.Dieser Text ist nicht mehr zugänglich, zu den Vernehmungsprotokollen allgemein siehe hier. (Abgerufen am 26. Dezember 2024).Urteil des Europäischen Gerichtshofes vom 24. Januar 2024, Rechtssache C-33/22, über ein Vorabentscheidungsersuchen nach Art. 267 [Vertrag über die Arbeitsweise der Europäischen Union|AEUV], eingereicht vom Verwaltungsgerichtshof mit Beschluss vom 14. Dezember 2021, beim Gerichtshof eingegangen am 14. Januar 2022. S. 7–8, speziell Randzahlen 17–22. (Abgerufen am 26. Dezember 2024).
Der Betroffene brachte dagegen eine Beschwerde bei der Datenschutzbehörde ein. Diese erklärte sich am 18. September 2019 für unzuständig und wies die Beschwerde zurück. Ihre Begründung ging dahin, dass ein Untersuchungsausschuss eine Angelegenheit der Gesetzgebung sei und aufgrund des in Österreich geltenden Grundsatzes der Gewaltenteilung eine Kontrolle der Verwaltung über die Gesetzgebung ausgeschlossen sei. Das Rechtsmittel gegen diese Entscheidung war erfolgreich. Das Bundesverwaltungsgericht gab der Beschwerde statt und hob die Entscheidung der Datenschutzbehörde am 23. November 2020 auf. Die Begründung lag darin, dass die europäische Datenschutz-Grundverordnung DSGVO (auch) für Akte der Gesetzgebung maßgeblich sei und die Datenschutzbehörde die Beschwerde somit hätte inhaltlich bearbeiten müssen. Dagegen wiederum erhob die Datenschutzbehörde Revision an den Verwaltungsgerichtshof. Dieser legte das Thema am 14. Dezember 2021 dem Europäischen Gerichtshof im Rahmen eines Vorabentscheidungsersuchens vor.Darstellung des Vorlageantrages auf der Website des Verwaltungsgerichtshofes. (Abgerufen am 26. Dezember 2024). Kern des Vorlageantrages war die Frage, ob die Datenschutzbehörde auch für das vorliegende Verfahren zuständig sei, obwohl dies in der österreichischen Rechtsordnung nicht geregelt sei. Das europäische Datenschutzrecht enthalte jedoch keine Unterscheidung nach Staatsfunktionen, eine solche Unterscheidung finde sich auch nicht in den nationalen Regelungen. Nur Gerichte seien von der Zuständigkeit der Datenschutzbehörde ausgenommen, ein Untersuchungsausschuss sei aber kein Gericht.
Der Europäische Gerichtshof entschied am 24. Jänner 2024, dass dann, wenn in einem Staat bloß eine einzige datenschutzrechtliche Aufsichtsbehörde eingerichtet sei, diese auch für Beschwerden über Verarbeitungen personenbezogener Daten durch einen Untersuchungsausschuss zuständig sei.Urteil des Europäischen Gerichtshofes vom 24. Januar 2024, Rechtssache C-33/22 - „Österreichische Datenschutzbehörde“, über ein Vorabentscheidungsersuchen nach Art. 267 [Vertrag über die Arbeitsweise der Europäischen Union|AEUV], eingereicht vom Verwaltungsgerichtshof mit Beschluss vom 14. Dezember 2021, beim Gerichtshof eingegangen am 14. Januar 2022. S. 16–17, Randzahl 73. (Abgerufen am 26. Dezember 2024). Er folgte damit den Schlussanträgen des Generalanwalts vom 11. Mai 2023, der den Standpunkt vertrat, verfassungsrechtliche Hindernisse im österreichischen Recht dürften nicht dazu führen, die Bestimmungen der DSGVO unangewendet zu lassen.Schlussanträge des Generalanwalts vom 11. Mai 2023 in der Rechtssache C-33/22. (Abgerufen am 26. Dezember 2024). Dementsprechend bestätigte der Verwaltungsgerichtshof am 1. Februar 2024 die Entscheidung des Bundesverwaltungsgerichts.Erkenntnis des Verwaltungsgerichtshofes vom 1. Februar 2024, Geschäftszahl Ro 2021/04/0006. (Abgerufen am 26. Dezember 2024).